Ziyue

Authentication bypass by spoofing vulnerability in Apache APISIX. On a route where multi-auth falls back from wolf-rbac to another successful authenticator, client-supplied Wolf identity headers can remain in the request. A downstream service that relies on those documented headers may therefore receive an identity that was not established by the successful authenticator. This issue affects Apache APISIX: from 3.8.0 through 3.19.0. Users are recommended to upgrade to version 3.20.0, which fixes the issue.

O plugin `batch-requests` contém uma falha onde os recursos são alocados sem limites ou controle (throttling). Um chamador não autenticado pode levar um worker do gateway ao estado de Out of Memory (OOM)—uma condição em que o sistema esgota sua memória RAM disponível—ao atingir uma rota que utiliza o plugin `batch-requests` e possui o endpoint `batch` exposto publicamente.

Existe um problema onde o uso de caminhos de URL não canônicos para decisões de autorização permite que um caminho codificado manipulado alcance um endpoint upstream. Em configurações onde uma rota permissiva se sobrepõe a uma protegida, requisições que deveriam ser rejeitadas são atendidas, concedendo acesso não autenticado a um endpoint upstream protegido.

O RPC `/services/request-service` do backend aceita uma URL controlada por um invasor de qualquer cliente conectado ao endpoint de mensagens padrão `/services`. O servidor executa a requisição HTTP e retorna o corpo completo da resposta ao solicitante. Como a URL de destino não é validada nem incluída em uma lista de permissões, um invasor remoto com acesso à conexão do serviço pode executar requisições HTTP do lado do servidor para o localhost ou outros hosts de backend alcançáveis. Isso pode expor endpoints administrativos internos, serviços de metadados de instâncias em nuvem e outros recursos localizados fora do limite da rede do navegador. Este problema afeta principalmente implantações multi-tenant ou acessíveis publicamente.